Antary

Lösung: Windows ignoriert Gruppenrichtlinieneinstellung Point-and-Print-Einschränkungen

In größeren Firmennetzwerken mit vielen Clients wird oftmals von der Gruppenrichtlinieneinstellung Point-and-Print-Einschränkungen (Point and Print Restrictions) Gebrauch gemacht, um den Administrationsaufwand gering zu halten. Mit dieser Einstellung lässt sich steuern, wie Benutzer Druckertreiber von Druckerservern installieren können.

Seit einigen Wochen kommt es allerdings teilweise zu Problemen. Einige User berichten von einer Sicherheitsmeldung, wenn sie bestimmte Drucker verknüpfen bzw. installieren wollen. Die Meldung lautet “Vertrauen Sie diesem Drucker?”.

Vertrauen Sie diesem Drucker?

Ursache des Problems ist das Security-Bulletin MS16-087 aus dem Juli-Patchday. Genauer gesagt KB3170455 unter Windows 7 bzw. 8.1 und KB3163912 unter Windows 10 bzw. KB3172985 bei Windows 10 v1511. Nach der Deinstallation des entsprechenden Updates ist das Problem verschwunden und die Benutzer können ohne Warnmeldung Drucker installieren. Allerdings ist dieser Workaround nicht empfehlenswert und in vielen Netzwerken auch gar nicht möglich.

Auf der Suche nach einer sinnvollen Lösung bin ich auf den Thread “KB3163912 breaks Point and Print Restrictions GPO settings” im TechNet gestoßen. Hier berichten viele User von ähnlichen Problemen. Nach weiterer Fehlersuche war schnell klar, dass dieses Problem lediglich bei Druckern auftritt, die keine “packaged”-Treiber verwenden.

Einige haben sogar einen Case via Microsoft-Premiumsupport eröffnet. Die offizielle Antwort von Microsoft lautet, den Druckerhersteller zu kontaktieren und “packaged” Treiber zu verwenden. Leider existiert in einigen Fällen aber kein “packaged”-Treiber, was vor allem (aber nicht ausschließlich) ältere Drucker betrifft.

Lösung

Schlussendlich hat ein findiger User doch noch eine brauchbare Lösungsmöglichkeit vorgeschlagen. Mit Hilfe der Registry lässt sich ein “un-packaged”-Treiber in einen “packaged”-Treiber verwandeln. Dazu öffnet man den Registrierungseditor und navigiert zu folgendem Pfad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print\Enviroments\Windowsx64\Drivers\...\

Dort angekommen wählt man links den betroffenen Druckertreiber aus, in meinem Beispiel den “Brother PCL5e Driver”.

Rechts muss der Wert “PrinterDriverAttributes” angepasst werden. Der aktuell gesetzte Wert muss um 1 erhöht werden. In meinem Fall muss er also von “0” auf “1” gesetzt werden. Danach muss noch der Druckdienst (Spooler) neugestartet werden. Ab diesem Zeitpunkt meldet sich der Treiber als “packaged” und kann ohne weiteren Benutzereingriff installiert werden.

Alternativ kann der betroffene Druckertreiber auch von Hand in einen “packaged”-Treiber umgewandelt werden. Hierzu reicht eine kleine Anpassung der INF-Datei aus. Bei Microsoft existieren weitere Informationen dazu. Vielleicht bekommen es damit auch einige Druckerhersteller gebacken, endlich “packaged”-Treber anzubieten.

Ab Oktober 2016 nur noch kumulative Updates für Windows 7 und 8.1

Microsoft Logo

Microsoft hat bekannt gegeben, dass es für Windows 7 und 8.1 zukünftig keine einzelnen Updates mehr, sondern nur noch kumulative Rollup-Pakete geben wird. Die Änderung soll ab Oktober 2016 Einzug halten und betrifft auch Windows Server 2008 R2, 2012 und 2012 R2.

Die kumulativen Rollup-Pakete werden ab Oktober eingeführt und werden ab diesem Zeitpunkt dann auch jeweils die Korrekturen der Vormonate enthalten. Längerfristig möchte Microsoft aber nach und nach auch alle bisher erschienenen Updates in die kumulativen Pakete integrieren. Für das .NET-Framework, Flash und den Internet Explorer sollen jeweils eigene Rollup-Pakete erscheinen. Durch den Einsatz von sogenannten “Express Packages” möchte Microsoft das Downloadvolumen für die Pakete klein halten. Dabei lädt der Windows-Client nur die tatsächlich benötigten Teile eines Update-Pakets herunter.

Neben den Rollup-Paketen, welche sowohl sicherheits- und nicht-sicherheitskritische Updates enthalten, wird Microsoft für Firmenkunden auch monatliche Sicherheits-Sammelpatches anbieten. Diese sind nicht kumulativ und enthalten alle Sicherheits-Updates für den jeweiligen Monat.

Durch diese Änderung möchte Microsoft die starke Fragmentierung von Windows 7 und 8.1 eindämmen und bestenfalls komplett beenden. Gleichzeitig möchte der Softwareriese damit die Anzahl der unterschiedlichen Systemkonfigurationen und potenziellen Fehlerquellen verringern. Ein Vorteil dabei ist, dass ein frisch installiertes Windows 7 oder 8.1 im besten Fall nur wenige Pakete installieren muss, um den aktuellen Patch-Stand zu erreichen. Allerdings bietet das Vorgehen von Microsoft auch einige Nachteile. Beispielsweise können problematische Patches dann nicht mehr wie bisher einzeln deinstalliert werden. Außerdem könnte Microsoft damit noch einfacher unerfreuliche funktionelle Änderungen verbreiten, Stichwort Telemetrie-Updates oder das GWX-Tool.

WordPress 4.6 veröffentlicht – Die Neuerungen

WordPress Logo

Vor wenigen Minuten wurde WordPress 4.6 “Pepper” veröffentlicht. Wie immer steht die neue Version bereits als manueller Download und auch über die automatische Updatefunktion zur Verfügung. Selbstverständlich ist bereits auch die deutsche Sprachvariante erhältlich. Ich habe mich bereits an das Update gewagt und konnte bisher keine Probleme feststellen. Dennoch solltet ihr vor dem Update ein aktuelles Backup anfertigen, sicher ist sicher 😉

Nachfolgend ein kurzer Überblick der wichtigsten Neuerungen. Genauere Details findet ihr im ausführlichen Changelog im WordPress-Codex.

  • “Shiny Updates v2”, Plugins und Themes können nun ohne Neuladen der Seite aktualisiert, instlalliert und entfernt werden (bisher war nur das Update von Plugins und Themes via AJAX möglich)
  • Open Sans im Admin-Backend als Schriftart entfernt, stattdessen wird auf System-Schriftarten gesetzt
  • TinyMCE-Editor auf Version 4.4.0 aktualisiert
  • nicht gültige Links (HTTP-Status-Code 404) werden rot umrandet angezeigt
  • Wiederherstellen von gespeichertem Inhalt optimiert
  • Unterstützung von Resource Hints
  • verbesserte HTTP-API (fügt Header unabhängig von Groß- und Kleinschreibung hinzu, erlaubt parallele HTTP-Anfragen und unterstützt internationalisierte Domain-Namen)
  • Aktualisierung von JavaScript-Bibliotheken (Masonry 3.3.2, imagesLoaded 3.2.0, MediaElement.js 2.22.0, TinyMCE 4.4.1 und Backbone.js 1.3.3)

Kategorien: Wordpress

Schwarzer Sperrbildschirm in Windows 10 Anniversary Update

Windows 10 Logo

Mit Windows 10 hat Microsoft die neue Funktion Windows-Blickpunkt (englisch Windows spotlight) eingeführt, die zufällig neue Hintergrundbilder für den Sperrbildschirm anzeigt. Außerdem bietet Windows 10 die Möglichkeit, dass der Anmeldebildschirm dasselbe Hintergrundbild verwendet.

Seit dem Anniversary Update existiert aber ein Fehler, wodurch kein Hintergrundbild angezeigt wird und der Sperrbildschirm schwarz bleibt (siehe Screenshot). Wenn man die Maus bewegt oder eine Taste auf der Tastatur drückt, erscheint der Anmeldebildschirm und auch das Hintergrundbild. Der Sperrbildschirm selbst bleibt aber schwarz.

Schwarzer Sperrbildschirm

Dieser Fehler lässt sich jedoch relativ leicht beheben. Zuerst muss in die erweiterten Systemeinstellungen gewechselt werden. Es existieren mehrere Möglichkeiten um dorthin zu kommen:

  • über die Suchfunktion in der Taskleiste, “Erweiterten Systemeinstellung” suchen
  • Rechtsklick auf das “Dieser PC”-Icon auf dem Desktop, “Eigenschaften” wählen und links auf “Erweiterte Systemeinstellungen” klicken
  • in der Systemsteuerung auf “System” klicken und links auf “Erweiterte Systemeinstellungen” klicken

Erweiterte Systemeinstellungen

Dort müsst ihr im oberen Drittel unter “Leistung” auf “Einstellungen…” klicken.

Im neuen Fenster “Leistungsoptionen” muss dann die Einstellung “Animation beim Minimieren und Maximieren von Fenstern” aktiviert werden.

Wenn ihr das Fenster mit “OK” schließt wird auf dem Sperrbildschirm fortan wieder ein Hintergrundbild angezeigt. Zur Überprüfung ob es funktioniert einfach kurz den PC mit der Windows-Taste + L sperren.

Microsoft beschneidet Gruppenrichtlinien unter Windows 10 Pro

Windows 10 Logo

Microsoft hat das Anniversary Update für Windows 10 am 02. August 2016 veröffentlicht. Unternehmenskunden müssen sich noch etwas gedulden, denn dort ist Windows 10 Version 1607 erst ab dem 16. August per WSUS erhältlich. Die administrativen Vorlagen (.admx) für die neue Windows-10-Version sind aber bereits verfügbar. Mit dem Update auf Version 1607 hat Microsoft wieder ein paar Überraschungen an Bord. Einige Gruppenrichtlinien-Einstellungen stehen ab sofort nicht mehr für Windows 10 Pro zur Verfügung.

Dieses Verhalten hat sich bereits im November Update (Version 1511) angedeutet. Hier war es unter Windows 10 Pro nicht mehr möglich, den Zugriff auf den Store zu blockieren. Mit Version 1607 setzt Microsoft diesen Kurs verstärkt fort. Folgende Gruppenrichtlinien-Einstellungen sind nur noch für Windows 10 Enterprise und Education anwendbar bzw. wirksam:

Name Pfad
Configure Spotlight on lock screen User Configuration > Administrative Templates > Windows Components > Cloud Content
Turn off all Windows Spotlight features User Configuration > Administrative Templates > Windows Components > Cloud Content
Turn off Microsoft consumer features Computer Configuration > Administrative Templates > Windows Components > Cloud Content
Do not display the lock screen Computer Configuration > Administrative Templates > Control Panel > Personalization
Do not require CTRL+ALT+DEL
&
Turn off app notifications on the lock screen
Computer Configuration > Administrative Templates > System > Logon

Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options > Interactive logon

Do not show Windows Tips Computer Configuration > Administrative Templates > Windows Components > Cloud Content
Force a specific default lock screen image Computer Configuration > Administrative Templates > Control Panel > Personalization
Start layout User Configuration\Administrative Templates\Start Menu and Taskbar
Turn off the Store application Computer Configuration > Administrative Templates > Windows Components > Store > Turn off the Store application

User Configuration > Administrative Templates > Windows Components > Store > Turn off the Store application

Only display the private store within the Windows Store app Computer Configuration > Administrative Templates > Windows Components > Store > Only display the private store within the Windows Store app

User Configuration > Administrative Templates > Windows Components > Store > Only display the private store within the Windows Store app

Don’t search the web or display web results Computer Configuration > Administrative Templates > Windows Components > Search > Don’t search the web or display web results

Microsoft hat die Auflistung der entsprechenden Einstellungen mittlerweile auch im TechNet veröffentlicht.

Ich kenne Microsofts Ziele nicht, aber für mich sieht es so aus, als ob sie Unternehmenskunden mittel- bis langfristig zum Umstieg von Windows 10 Pro auf Enterprise bewegen möchten. Für kleinere Firmen dürfte dies aber oft keine Alternative sein, da Windows 10 Enterprise teurer ist und nur mit Volumenlizenzierung (Software Assurance) verwendet werden kann.

Kategorien: Windows Windows 10

Funkschlüssel bei 100 Millionen Autos sind unsicher

Was den meisten IT-affinen Menschen schon seit Jahren klar sein sollte wurde jetzt abermals bestätigt: Funkschlüssel sind extrem unsicher. Forscher aus Deutschland und Großbritannien haben eine gravierende Sicherheitslücke bei Funkschlüssel von mehreren Autoherstellern gefunden. Besonders hart trifft es den VW-Konzern, aber auch andere Hersteller werden nicht verschont. Laut Berichten von NDR, WDR und Süddeutscher Zeitung sind Modelle von 15 Herstellern betroffen. Insgesamt sollen über 100 Millionen Autos geknackt werden können.

Den Forschern ist es gelungen, das vom Autoschlüssel an den Wagen gesendete Signal mitzuschneiden und zu entschlüsseln. Prinzipiell ist dies nichts Neues. Bei den betroffenen Volkswagen-Autos reicht allerdings ein einziger Mitschnitt und das verschlüsselte Funksignal ist in weniger als einer Sekunde geknackt. Anschließend konnten die Forscher das Funksignal beliebig oft reproduzieren. Bei den anderen Herstellern ist das Verfahren etwas komplexer und zum Knacken musste mehr als ein Funksignal mitgehört werden.

Durch die Sicherheitslücke können Fahrzeuge ohne Originalschlüssel geöffnet und wieder verschlossen werden. Kriminelle könnten somit ein Auto ausrauben, ohne dass der Besitzer es bemerkt. Da keine Spuren hinterlassen werden kann der Diebstahl im Nachhinein auch nicht nachvollzogen werden.

Offensichtlich geht die Sicherheitslücke 21 Jahre zurück, denn fast alle VW-Modelle ab dem Baujahr 1995 sind betroffen. Ebenso betroffen sind die VW-Töchter Audi, Seat und Škoda. Die Ursache liegt an der geringen Zahl der für die Funkschlüssel verwendeten Passphrasen. Volkswagen teilte mit, dass das Problem bekannt sei und es nicht mehr auf die aktuellen Modelle zutreffe. Was mit “aktuelle Modelle” genau gemeint ist ließ der Konzern offen. Unklar ist auch, wie VW damit weiter umgehen wird und ob es zu einer Rückrufaktion kommen wird. Die unglückliche Kommunikation zeigt, dass VW offensichtlich nichts aus dem Diesel-Skandal gelernt hat.

Laut der Tagesschau sind die Schlüssel der folgenden Modelle betroffen:

  • Audi: A1, Q3, S3, TT, R8
  • VW: Amarok, Beetle, Bora, Caddy, Crafter, Eos, Fox, Golf 4, Golf 5, Golf 6, Golf Plus, Jetta, Lupo, Passat, Polo, Transporter T4, Transporter T5, Scirocco, Sharan, Tiguan, Touran, Up/e-Up
  • Seat: Alhambra, Altea, Arosa, Cordoba, Ibiza, Leon, MII, Toledo
  • Skoda: City Go, Roomster, Fabia 1, Fabia 2, Octavia, Superb, Yeti
  • Fiat Punto: (Typ 188), 500, Abarth 500, Bravo, Doblo, Ducato, Fiorino, Grande Punto, Panda, Punto Evo, Qubo
  • Alfa Romeo: Guilietta (Typ 940)
  • Lancia: Delta (Typ 844), Musa
  • Mitsubishi: Colt (Z30)
  • Citroen: Nemo, Jumper
  • Opel: Astra (Modell H), Corsa (Modell D), Vectra (Modell C), Combo, Meriva, Zafira
  • Ford: Ka (RU8)
  • Dacia: Logan II, Duster
  • Renault: Clio, Modus, Trafic, Twingo, Master
  • Nissan: Micra, Pathfinder, Navara, Note, Qashqai, X-Trail
  • Peugeot: Boxer, Expert, 207

Kategorien: Hardware Sonstiges

Administrative Vorlagen (.admx) für Windows 10 Version 1607 und Windows Server 2016 verfügbar

Windows 10 Logo

Wenige Tage nach Veröffentlichung des Anniversary Updates für Windows 10 alias Windows 10 Version 1607 hat Microsoft auch die administrative Vorlagen (.admx) für die neue Version zum Download freigegeben. Neben Windows 10 v1607 sind diese auch für Windows Server 2016 geeignet.

Download Administrative Templates (.admx) für Windows 10

Kategorien: Windows Windows 10

Microsoft-Patchday August 2016

Microsoft Logo

Am heutigen Patchday veröffentlicht Microsoft neun Security-Bulletins, von denen fünf als „kritisch“ und vier als „hoch“ eingestuft werden. Insgesamt sollen 34 Sicherheitslücken durch die Updates behoben werden. Neben den obligatorischen Updates für den Internet Explorer und Edge-Browser, stehen auch Updates für Office und Skype for Business bereit.

Nachfolgend ein grober Überblick der zur Verfügung stehenden sicherheitsrelevanten Updates. Weitere Details stellt Microsoft wie immer im Security TechCenter zur Verfügung.

Bulletin ID Bulletin Title Maximum Severity Rating and Vulnerability Impact Restart Requirement Affected Software
MS16-095  Cumulative Security Update for Internet Explorer (3177356) Critical
Remote Code Execution
Requires restart
MS16-096  Cumulative Security Update for Microsoft Edge (3177358) Critical
Remote Code Execution
Requires restart
MS16-097  Security Update for Microsoft Graphics Component (3177393) Critical
Remote Code Execution
May require restart
MS16-098  Security Update for Windows Kernel-Mode Drivers (3178466) Important
Elevation of Privilege
Requires restart
MS16-099 Security Update for Microsoft Office (3177451) Critical
Remote Code Execution
May require restart
MS16-100 Security Update for Secure Boot (3179577) Important
Security Feature Bypass
Does not require restart
MS16-101 Security Update for Windows Authentication Methods (3178465) Important
Elevation of Privilege
MS16-102 Security Update for Microsoft Windows PDF Library (3182248) Critical
Remote Code Execution
May require restart
MS16-103 Security Update for ActiveSyncProvider (3182332) Important
Information Disclosure
Requires restart

Windows 10 Anniversary Update beschleunigt Netzwerk-Stack

Windows 10 Logo

Das Anniversary Update für Windows 10 ist seit dem 2. August erhältlich und bringt einige kleinere oder größere Neuerungen mit. Aber auch unter der Haube hat Microsoft einige Verbesserungen eingebaut. So sollen fünf neue Features für einen schnelleren Netzwerk-Stack sorgen und gleichzeitig die Übertragungsleistung verbessern. Die neuen Features werden auch in Windows Server 2016 enthalten sein.

Drei dieser Funktionen liegen bereits als endgültige RFC-Spezifikationen vor:

  • TCP Fast Open (TFO) (RFC 7413)
    • TCP Fast Open wurde ursprünglich von Google entwickelt und befindet sich bereits seit Ende 2012 im Linux-Kernel. Nach dem ersten Verbindungsaufbau sendet der Server ein kryptografisch sicheres Cookie an den Client. Alle darauffolgenden TCP-Verbindungen können damit schneller initialisiert werden. Damit lassen sich wiederholte Drei-Wege-Handshakes zum gleichen Server vermeiden, was insbesondere beim Laden von Webseiten mit vielen TCP-Verbindungen einen deutlichen Geschwindigkeitsschub bringt. Ohne TCP Fast Open ist für jede einzelne Verbindung ein Drei-Wege-Handshake erforderlich. Mit TCP Fast Open lassen sich bis zu 1 RTT (Round Trip Time) einsparen.
  • Initial Congestion Window 10 (ICW10) (RFC 6928)
    • Microsoft erhöht das Congestion Window von 4 auf 10 MSS (Maximum Segment Size – maximale Anzahl von Bytes, die als Nutzdaten in einem TCP-Segment versendet werden können). Im Ergebnis können schnelle Internetleitungen besser ausgenutzt werden, wodurch insbesondere die Übertragung von kleinen Dateien beschleunigt wird.
  • Low Extra Delay Background Transport (LEDBAT) (RFC 6817)
    • Mit LEDBAT sollen Übertragungen geringer Priorität im Hintergrund ermöglicht werden, ohne sich störend auf andere TCP-Verbindungen auszuwirken. Salopp gesagt werden unkritische Datenströme entsprechend langsam gesendet, sodass keine Auswirkungen auf andere Übertragungen bemerkbar sein sollten.

Bei den zwei anderen Features handelt es sich noch um experimentelle Entwürfe:

  • Recent ACKnowledgment (RACK)
    • Diese Technologie soll den Verlust von TCP-Paketen früher bemerken. Daraus ergibt sich automatisch, dass verlorene Segmente schneller erneut gesendet werden. Laut Microsoft kommt das neue Feature nur bei Verbindungen mit einer höheren Latenz als 10 ms zum Einsatz. Bei LAN-Verbindungen kommt das Feature demnach nicht zum Einsatz. RACK ist seit Anfang 2016 im Linux-Kernel vorhanden.
  • Tail Loss Probe (TLP)
    • TLP soll bei Paketverlusten helfen und sorgt dafür, dass die Latenz bis zur Sendewiederholung geringer ausfällt.

Das Windows Networking Team teilte mit, dass es sich um den ersten Schub von neuen Features handelt und mit den kommenden Redstone-Releases weitere Features kommen werden.

Kategorien: Windows Windows 10

Microsoft reagiert auf Windows-10-Upgrade-Hintertür

Windows 10 Logo

Seit dem 30.07.2016 ist das offizielle Upgrade-Angebot für Nutzer von Windows 7 und 8.1 auf Windows 10 nicht mehr kostenlos möglich. Einen Tag später berichtete ich, wie das kostenlose Upgrade über einen kleinen Umweg weiterhin möglich ist. Auf einer speziellen Internetseite bietet Microsoft ein Tool zum Download an, womit das Upgrade ohne Probleme durchgeführt werden kann. Das Angebot richtet sich eigentlich nur an Nutzer, die Hilfstechnologien nutzen. Da Microsoft dies aber nicht weiter überprüft, kann es aktuell von jedem verwendet werden.

Auch viele andere Webseiten berichteten darüber und offensichtlich sieht sich Microsoft nun gezwungen zu reagieren. Auf Reddit hat sich ein Microsoft-Mitarbeiter zu diesem Thema geäußert. Da die Webseite offenbar missbraucht wird, wird sie Microsoft in naher Zukunft abschalten und den Prozess ändern. Nutzer die unterstützende Technologien benötigen, können weiterhin kostenlos auf Windows 10 upgraden, müssen sich dann aber direkt an den Disability-Helpdesk wenden. Ob Microsoft damit nur die Hürde für den massenhaften Missbrauch erhöhen möchte oder auch Überprüfungen eingeführt ist derzeit nicht klar.

Unterdessen berichtet Heise über eine zweite Möglichkeit, wie Nutzer noch zu einem kostenlosen Windows 10 kommen können. Benötigt wird ein Installationsmedium, auf welchem das November-Update von Windows 10 (Version 1511) enthalten ist. Das Setup akzeptiert nach wie vor die Lizenzschlüssel von Windows 7, 8 und 8.1. Mal schaun wie lange es dauert, bis Microsoft auch diese Variante verhindert.

Kategorien: Windows Windows 10